SOC analytik přichází ráno do práce a během několika minut na něj čekají stovky nových bezpečnostních upozornění. Firewall, SIEM, EDR, cloudové bezpečnostní služby i nástroje pro správu identit nepřetržitě monitorují infrastrukturu a generují další a další alerty. Většina z nich nepředstavuje skutečný incident. Přesto je někdo musí prověřit.

Právě zde vzniká problém označovaný jako alert fatigue. Nejde o nedostatek zkušeností ani o nedostatek kvalifikovaných lidí. Bezpečnostní týmy dnes mnohem častěji narážejí na to, že jejich nástroje produkují obrovské množství upozornění, která postrádají potřebný kontext. Analytici pak tráví více času tříděním alertů než vyšetřováním skutečných bezpečnostních incidentů.

Bezpečnostní incident dnes nevypadá jako jeden alert

Představa, že kybernetický útok vyvolá jedno jasné upozornění, už dávno neplatí. Moderní útoky se skládají z celé řady zdánlivě běžných aktivit, které samy o sobě nepůsobí podezřele.

Útočník se přihlásí pomocí kompromitovaného účtu. Přesune se na další server. Vyhledává citlivá data. Naváže komunikaci s externím systémem. Každý z těchto kroků může odpovídat běžné administrátorské činnosti. Teprve jejich propojení ukáže, že nejde o standardní provoz, ale o probíhající útok.

Právě proto dnes nestačí pouze sbírat bezpečnostní události. Rozhodující je schopnost pochopit jejich vzájemné souvislosti.

Problém není v množství dat, ale v množství šumu

Cloudové služby, vzdálení uživatelé, IoT zařízení i průmyslové technologie vytvářejí obrovské množství bezpečnostních dat. Každá část infrastruktury přitom poskytuje vlastní pohled na dění v síti.

Firewall sleduje síťovou komunikaci. EDR monitoruje koncové stanice. SIEM shromažďuje logy z různých systémů. Každý z těchto nástrojů odvádí svou práci, ale žádný z nich sám o sobě neposkytuje úplný obraz o tom, co se v infrastruktuře skutečně odehrává.

Bezpečnostní incident se dnes málokdy skládá z jediné události. Obvykle jde o sérii zdánlivě nesouvisejících aktivit, které začnou dávat smysl teprve ve chvíli, kdy je někdo propojí.

Právě zde se rozhoduje o tom, zda SOC útok odhalí včas, nebo zda důležitý signál zapadne mezi stovkami běžných upozornění.

Moderní SOC potřebuje kontext, ne další alerty

Řada organizací reaguje na rostoucí počet hrozeb nasazením dalších bezpečnostních nástrojů. To ale často vede pouze k tomu, že přibývá další zdroj upozornění.

Bezpečnostní týmy nepotřebují více dat. Potřebují rychle pochopit, které události spolu souvisejí, jaké představují riziko a zda vyžadují okamžitou reakci.

I proto získávají stále větší význam technologie NDR (Network Detection and Response) a síťová observabilita. Ty umožňují sledovat komunikaci napříč celou infrastrukturou a odhalovat vzorce chování, které při pohledu na jednotlivé alerty zůstávají skryté.

Namísto izolovaných upozornění získává bezpečnostní analytik souvislosti. A právě ty dnes rozhodují o tom, zda se podaří útok odhalit včas.

Progress Flowmon pomáhá oddělit signál od šumu

Progress Flowmon není další nástroj, který přidává nové alerty. Je navržený tak, aby bezpečnostním týmům pomohl rozpoznat, které události skutečně představují bezpečnostní riziko.

Kombinuje síťovou observabilitu, behaviorální analýzu, strojové učení a umělou inteligenci do jediné platformy, která poskytuje ucelený pohled na komunikaci v síti. Průběžně analyzuje síťový provoz, vyhodnocuje odchylky od běžného chování a propojuje jednotlivé události do logických souvislostí.

Díky tomu dokáže upozornit na aktivity, které by při posuzování izolovaných alertů snadno zapadly mezi běžný provoz.

Flowmon pomáhá odhalovat například:

• laterální pohyb útočníků mezi systémy,
• zneužití kompromitovaných nebo privilegovaných účtů,
• pokusy o exfiltraci citlivých dat,
• anomálie v síťové komunikaci založené na behaviorální analýze.

Bezpečnostní analytici tak nezískávají pouze další upozornění. Získávají informace, které jim pomáhají pochopit průběh incidentu a rozhodnout o dalším postupu.

AI má pomáhat analytikům, ne je nahrazovat

Umělá inteligence se v posledních letech stala součástí téměř každého bezpečnostního produktu. Samotné použití AI ale ještě automaticky neznamená lepší ochranu. Pokud pouze přidá další vrstvu upozornění, problém alert fatigue neřeší. Naopak jej může ještě prohloubit.

Skutečný přínos AI spočívá v tom, že dokáže zpracovat velké objemy dat během několika sekund, vyhledat souvislosti, které by člověk snadno přehlédl, a připravit analytikům informace v podobě, která jim umožní rychle se rozhodnout.

Ve Flowmonu proto AI nenahrazuje práci bezpečnostních specialistů. Pomáhá jim šetřit čas.

Nová generace platformy využívá AI například k automatickému vytváření přehledných shrnutí bezpečnostních incidentů. Analytik během několika okamžiků získá přehled o tom, co se stalo, proč byla událost vyhodnocena jako riziková, jaké systémy jsou zasažené a jaké kroky je vhodné podniknout.

Místo desítek minut strávených procházením logů nebo sestavováním časové osy incidentu se může okamžitě věnovat samotnému řešení.

Investigations zrychlují vyšetřování incidentů

Jednou z nejvýraznějších novinek posledních verzí Progress Flowmon je funkce Investigations. Namísto práce s jednotlivými alerty umožňuje vytvářet ucelené vyšetřovací scénáře, které propojují všechny související události do jednoho přehledného celku.

Bezpečnostní analytik tak nemusí přecházet mezi několika nástroji ani ručně sestavovat průběh útoku. Na jednom místě vidí jednotlivé kroky incidentu, jejich vzájemné vazby i další navazující aktivity.

To výrazně zkracuje dobu potřebnou k analýze incidentu a současně snižuje riziko, že některá důležitá informace zůstane přehlédnuta.

Právě schopnost rychle pochopit celý kontext dnes představuje jednu z největších výhod moderních platforem NDR.

Méně šumu znamená efektivnější SOC

Nedostatek zkušených bezpečnostních specialistů se v nejbližších letech pravděpodobně nezmění. O to důležitější bude efektivně využívat kapacity týmů, které organizace mají.

To ale neznamená pořizovat další bezpečnostní nástroje a generovat další upozornění.

Mnohem větší přínos mají řešení, která dokážou propojit informace z různých zdrojů, odstranit zbytečný šum a poskytnout analytikům jasný kontext. Tímto směrem se vyvíjí i moderní přístup ke kybernetické bezpečnosti.

Místo počtu detekovaných událostí začíná být rozhodující kvalita informací, které bezpečnostní tým dostává.

Progress Flowmon pomáhá bezpečnostním týmům dělat lepší rozhodnutí

Progress Flowmon vznikl s jediným cílem – pomoci bezpečnostním týmům rychleji rozpoznat skutečné hrozby a zkrátit dobu potřebnou k jejich vyšetření.

Spojuje síťovou observabilitu, technologii NDR, behaviorální analýzu a umělou inteligenci do jedné platformy, která poskytuje ucelený pohled na dění v celé infrastruktuře.

Bezpečnostní analytici tak nemusí trávit čas hledáním souvislostí mezi jednotlivými nástroji. Mohou se soustředit na to nejdůležitější – rychle rozpoznat incident, správně určit jeho prioritu a přijmout odpovídající opatření.

A právě to dnes rozhoduje o úspěšnosti moderního SOC, protože cílem bezpečnostního týmu není zpracovat více alertů. Cílem je co nejrychleji odhalit útok, který představuje skutečné riziko pro organizaci.

---

Bezpečnostní týmy nepotřebují více upozornění. Potřebují jistotu, že reagují na ta správná.

Zjistěte, jak Progress Flowmon pomáhá organizacím omezit alert fatigue, urychlit vyšetřování bezpečnostních incidentů a zvýšit efektivitu SOC díky kombinaci síťové observability, technologie Network Detection and Response, behaviorální analýzy a umělé inteligence.

Požádejte o demo řešení Progress Flowmon.

www.flowmon.cz